防火牆部署原則

　　有哪些?今天小編要跟大家介紹下有哪些，下面就是小編為大家整理到的資料，請大家認真看看!

　　1.概述

　　網路防火牆技術的作為內部網路與外部網路之間的第一道安全屏障，是最先受到人們重視的網路安全技術，就其產品的主流趨勢而言，大多數代理伺服器***也稱應用閘道器***也集成了包濾技術，這兩種技術的混合應用顯然比單獨使用更具有大的優勢。那麼我們究竟應該在哪些地方部署防火牆呢?首先,應該安裝防火牆的位置是公司內部網路與外部Internet的介面處,以阻擋來自外部網路的入侵;其次,如果公司內部網路規模較大,並且設定有虛擬區域網***VLAN***,則應該在各個VLAN之間設定防火牆;第三,通過公網連線的總部與各分支機構之間也應該設定防火牆,如果有條件,還應該同時將總部與各分支機構組成虛擬專用網 ******。

　　安裝防火牆的基本原則是:只要有惡意侵入的可能,無論是內部網路還是與外部公網的連線處,都應該安裝防火牆。

　　2.防火牆的選擇

　　選擇防火牆的標準有很多,但最重要的是以下幾條:

　　2.1.總擁有成本防火牆產品作為網路系統的安全屏障,其總擁有成本***TCO***不應該超過受保護網路系統可能遭受最大損失的成本。以一個非關鍵部門的網路系統為例,假如其系統中的所有資訊及所支援應用的總價值為10萬元,則該部門所配備防火牆的總成本也不應該超過10萬元。當然,對於關鍵部門來說,其所造成的負面影響和連帶損失也應考慮在內。如果僅做粗略估算,非關鍵部門的防火牆購置成本不應該超過網路系統的建設總成本,關鍵部門則應另當別論。

　　2.2.防火牆本身是安全的

　　作為資訊系統安全產品,防火牆本身也應該保證安全,不給外部侵入者以可乘之機。如果像馬其頓防線一樣,正面雖然牢不可破,但進攻者能夠輕易地繞過防線進入系統內部,網路系統也就沒有任何安全性可言了。

　　通常,防火牆的安全性問題來自兩個方面:其一是防火牆本身的設計是否合理,這類問題一般使用者根本無從入手,只有通過權威認證機構的全面測試才能確定。所以對使用者來說,保守的方法是選擇一個通過多家權威認證機構測試的產品。其二是使用不當。一般來說,防火牆的許多配置需要系統管理員手工修改,如果系統管理員對防火牆不十分熟悉,就有可能在配置過程中遺留大量的安全漏洞。

　　2.3.管理與培訓

　　管理和培訓是評價一個防火牆好壞的重要方面。我們已經談到,在計算防火牆的成本時,不能只簡單地計算購置成本,還必須考慮其總擁有成本。人員的培訓和日常維護費用通常會在TCO中佔據較大的比例。一家優秀秀的安全產品供應商必須為其使用者提供良好的培訓和售後服務。

　　2.4.可擴充性

　　在網路系統建設的初期,由於內部資訊系統的規模較小,遭受攻擊造成的損失也較小,因此沒有必要購置過於複雜和昂貴的防火牆產品。但隨著網路的擴容和網路應用的增加,網路的風險成本也會急劇上升,此時便需要增加具有更高安全性的防火牆產品。如果早期購置的防火牆沒有可擴充性,或擴充成本極高,這便是對投資的浪費。好的產品應該留給使用者足夠的彈性空間,在安全水平要求不高的情況下,可以只選購基本系統,而隨著要求的提高,使用者仍然有進一步增加選件的餘地。這樣不僅能夠保護使用者的投資,對提供防火牆產品的廠商來說,也擴大了產品覆蓋面。

　　2.5.防火牆的安全性

　　防火牆產品最難評估的方面是防火牆的安全效能,即防火牆是否能夠有效地阻擋外部入侵。這一點同防火牆自身的安全性一樣,普通使用者通常無法判斷。即使安裝好了防火牆,如果沒有實際的外部入侵,也無從得知產品效能的優劣。但在實際應用中檢測安全產品的效能是極為危險的,所以使用者在選擇防火牆產品時,應該儘量選擇佔市場份額較大同時又通過了權威認證機構認證測試的產品。

　　3.加密技術

　　資訊交換加密技術分為兩類：即對稱加密和非對稱加密。

　　3.1.對稱加密技術

　　在對稱加密技術中，對資訊的加密和解密都使用相同的鑰，也就是說一把鑰匙開一把鎖。這種加密方法可簡化加密處理過程，資訊交換雙方都不必彼此研究和交換專用的加密演算法。如果在交換階段私有金鑰未曾洩露，那麼機密性和報文完整性就可以得以保證。對稱加密技術也存在一些不足，如果交換一方有N個交換物件，那麼他就要維護N個私有金鑰，對稱加密存在的另一個問題是雙方共享一把私有金鑰，交換雙方的任何資訊都是通過這把金鑰加密後傳送給對方的。如三重DES是 DES***資料加密標準***的一種變形，這種方法使用兩個獨立的56為金鑰對資訊進行3次加密，從而使有效金鑰長度達到112位。

　　3.2.非對稱加密/公開金鑰加密

　　在非對稱加密體系中，金鑰被分解為一對***即公開金鑰和私有金鑰***。這對金鑰中任何一把都可以作為公開金鑰***加密金鑰***通過非保密方式向他人公開，而另一把作為私有金鑰***解密金鑰***加以儲存。公開金鑰用於加密，私有金鑰用於解密，私有金鑰只能有生成金鑰的交換方掌握，公開金鑰可廣泛公佈，但它只對應於生成金鑰的交換方。非對稱加密方式可以使通訊雙方無須事先交換金鑰就可以建立安全通訊，廣泛應用於身份認證、數字簽名等資訊交換領域。非對稱加密體系一般是建立在某些已知的數學難題之上，是計算機複雜性理論發展的必然結果。最具有代表性是RSA公鑰密碼體制。

　　3.3.RSA演算法

　　RSA演算法是Rivest、Shamir和Adleman於1977年提出的第一個完善的公鑰密碼體制，其安全性是基於分解大整數的困難性。在RSA體制中使用了這樣一個基本事實：到目前為止，無法找到一個有效的演算法來分解兩大素數之積。RSA演算法的描述如下：

　　公開金鑰：n=pq***p、q分別為兩個互異的大素數，p、q必須保密***

　　e與***p-1******q-1***互素

　　私有金鑰：d=e-1 {mod***p-1******q-1***}

　　加密：c=me***mod n***,其中m為明文，c為密文。

　　解密：m=cd***mod n***

　　利用目前已經掌握的知識和理論，分解2048bit的大整數已經超過了64位計算機的運算能力，因此在目前和預見的將來，它是足夠安全的。

　　4.PKI技術

　　PKI***Publie Key Infrastucture***技術就是利用公鑰理論和技術建立的提供安全服務的基礎設施。PKI技術是資訊保安技術的核心，也是電子商務的關鍵和基礎技術。由於通過網路進行的電子商務、電子政務、電子事務等活動缺少物理接觸，因此使得用電子方式驗證信任關係變得至關重要。而PKI技術恰好是一種適合電子商務、電子政務、電子事務的密碼技術，他能夠有效地解決電子商務應用中的機密性、真實性、完整性、不可否認性和存取控制等安全問題。一個實用的PKI體系應該是安全的易用的、靈活的和經濟的。它必須充分考慮互操作性和可擴充套件性。它是認證機構***CA***、註冊機構***RA***、策略管理、金鑰***Key***與證書***Certificate***管理、金鑰備份與恢復、撤消系統等功能模組的有機結合。

　　4.1.認證機構

　　CA***Certification Authorty***就是這樣一個確保信任度的權威實體，它的主要職責是頒發證書、驗證使用者身份的真實性。由CA簽發的網路使用者電子身份證明—證書，任何相信該CA的人，按照第三方信任原則，也都應當相信持有證明的該使用者。CA也要採取一系列相應的措施來防止電子證書被偽造或篡改。構建一個具有較強安全性的 CA是至關重要的，這不僅與密碼學有關係，而且與整個PKI系統的構架和模型有關。此外，靈活也是CA能否得到市場認同的一個關鍵，它不需支援各種通用的國際標準，能夠很好地和其他廠家的CA產品相容。

　　4.2.註冊機構

　　RA***Registration Authorty***是使用者和CA的介面，它所獲得的使用者標識的準確性是CA頒發證書的基礎。RA不僅要支援面對面的登記，也必須支援遠端登記。要確保整個PKI系統的安全、靈活，就必須設計和實現網路化、安全的且易於操作的RA系統。

　　4.3.策略管理

　　在PKI系統中，制定並實現科學的安全策略管理是非常重要的這些安全策略必須適應不同的需求，並且能通過CA和RA技術融入到CA 和RA的系統實現中。同時，這些策略應該符合密碼學和系統安全的要求，科學地應用密碼學與網路安全的理論，並且具有良好的擴充套件性和互用性。

　　4.4.金鑰備份和恢復

　　為了保證資料的安全性，應定期更新金鑰和恢復意外損壞的金鑰是非常重要的，設計和實現健全的金鑰管理方案，保證安全的金鑰備份、更新、恢復，也是關係到整個PKI系統強健性、安全性、可用性的重要因素。

　　4.5.證書管理與撤消系統

　　證書是用來證明證書持有者身份的電子介質，它是用來繫結證書持有者身份和其相應公鑰的。通常，這種繫結在已頒發證書的整個生命週期裡是有效的。但是，有時也會出現一個已頒發證書不再有效的情況這就需要進行證書撤消，證書撤消的理由是各種各樣的，可能包括工作變動到對金鑰懷疑等一系列原因。證書撤消系統的實現是利用週期性的釋出機制撤消證書或採用線上查詢機制，隨時查詢被撤消的證書。

　　5.安全技術的研究現狀和動向

　　我國資訊網路安全研究歷經了通訊保密、資料保護兩個階段，正在進入網路資訊保安研究階段，現已開發研製出防火牆、安全路由器、安全閘道器、黑客入侵檢測、系統脆弱性掃描軟體等。但因資訊網路安全領域是一個綜合、交叉的學科領域它綜合了利用數學、物理、生化資訊科技和計算機技術的諸多學科的長期積累和最新發展成果，提出系統的、完整的和協同的解決資訊網路安全的方案，目前應從安全體系結構、安全協議、現代密碼理論、資訊分析和監控以及資訊安全系統五個方面開展研究，各部分相互協同形成有機整體。

　　國際上資訊保安研究起步較早，力度大，積累多，應用廣，在70年代美國的網路安全技術基礎理論研究成果“計算機保密模型”***Beu& La padula模型***的基礎上，指定了“可信計算機系統安全評估準則”***TCSEC***，其後又制定了關於網路系統資料庫方面和系列安全解釋，形成了安全資訊系統體系結構的準則。安全協議作為資訊保安的重要內容，其形式化方法分析始於80年代初，目前有基於狀態機、模態邏輯和代數工具的三種分析方法，但仍有侷限性和漏洞，處於發展的提高階段。作為資訊保安關鍵技術密碼學，近年來空前活躍，美、歐、亞各洲舉行的密碼學和資訊保安學術會議頻繁。1976年美國學者提出的公開金鑰密碼體制，克服了網路資訊系統金鑰管理的困難，同時解決了數字簽名問題，它是當前研究的熱點。而電子商務的安全性已是當前人們普遍關注的焦點，目前正處於研究和發展階段，它帶動了論證理論、金鑰管理等研究，由於計算機運算速度的不斷提高，各種密碼演算法面臨著新的密碼體制，如量子密碼、DNA 密碼、混沌理論等密碼新技術正處於探索之中。因此網路安全技術在21世紀將成為資訊網路發展的關鍵技術，21世紀人類步入資訊社會後，資訊這一社會發展的重要戰略資源需要網路安全技術的有力保障，才能形成社會發展的推動力。在我國資訊網路安全技術的研究和產品開發仍處於起步階段，仍有大量的工作需要我們去研究、開發和探索，以走出有中國特色的產學研聯合發展之路，趕上或超過發達國家的水平，以此保證我國資訊網路的安全，推動我國國民經濟的高速發展。